ITパスポート 2021年 問60

情報システムにおける二段階認証の例【ITパスポート 解説】

正解の理由

解法ステップ

1. 「二段階認証」の意味を確認する
   • 「認証が二つの段階（ステップ）で行われること」を指すと理解する。必ずしも異なる要素である必要はない（ただし多要素認証はさらに安全）。
2. 各選択肢が「認証を二段階に分けているか」を判定する
   • 人の本人確認（アイデンティティ確認）として機能するかどうかも考える。
3. 不適切な選択肢の理由を消去法で確認する
   • CAPTCHAは本人確認ではなくボット対策、ID→パスは通常は一回の認証操作として扱う、など。

選択肢別の誤答解説

• ア: 画面に表示されたゆがんだ文字列（CAPTCHA：画像の文字などで人間か自動プログラムかを判別する仕組み）を読み取って入力した後、利用者IDとパスワードを入力する
  • なぜ誤りか：CAPTCHAは「この操作をしているのが人間かどうか」を確認するための仕組みです。本人確認（誰が操作しているか）を強化する認証とは役割が異なります。したがって「二段階認証（本人確認を二段階で行う）」の典型例とは言えません。
• イ: サーバ室への入室時と退室時に生体認証を行い、認証によって入室した者だけが退室の認証を行える
  • なぜ誤りか：入室時と退室時に同じ生体認証（生体認証＝指紋や顔など「身体的特徴を使う本人確認」）を行うのは、二回の手続きではありますが「二段階認証」の意味（ログイン等で段階的に本人確認を行う）から外れます。また、同じ要素を時間をずらして繰り返すだけでは二段階の認証として典型的ではありません。
• ウ: 利用者IDとパスワードを入力して認証を行った後、秘密の質問への答えを入力することによってログインできる
  • なぜ正しいか：認証が「段階1：IDとパスワード」「段階2：秘密の質問」という順序で二度行われます。手続きとして二段階になっているため、問題の設問意図に合致します。
• エ: 利用者IDの入力画面へ利用者IDを入力するとパスワードの入力画面に切り替わり、パスワードを入力することによってログインできる
  • なぜ誤りか：見た目はIDとパスワードが別々の画面に分かれているだけで、実質は「一回の認証手続き」であり、二段階認証と扱うには不十分です。IDとパスワードは通常一連の認証情報として扱われます。

よくある誤解

1. 「IDを入力してからパスワードを入れるのは二段階認証だ」
   • 誤りです。IDとパスワードは通常、同じ認証の一部です。画面の切り替えだけでは二段階認証とは言えません。
2. 「CAPTCHAがあれば二段階認証になる」
   • 誤りです。CAPTCHAは本人確認ではなくボットや自動処理を防ぐ仕組みです。本人の身元確認（認証）とは役割が異なります。
3. 「同じ種類の認証を2回すれば必ず安全になる」
   • 同じ「知識要素」を二回使う（パスワード→秘密の質問など）は二段階ではありますが、異なる種類（知識＋所有など）を組み合わせる方が安全性は高くなります。

補足コラム

• 二段階認証と多要素認証の違い
  • 二段階認証（two-step verification）：認証手続きが段階的に二回行われること。必ずしも異なる種類の要素を使う必要はない。
  • 多要素認証（two-factor authentication, 2FA）：少なくとも二種類の異なる認証要素を使う。認証要素の分類は主に次の3つ：
    1. 知識要素（something you know）：パスワード、秘密の質問
    2. 所有要素（something you have）：スマートフォンに送られるワンタイムパスワード（OTP）、ハードウェアトークン
    3. 生体要素（something you are）：指紋、顔認証（生体認証）
  • 実務上は「パスワード（知識）」＋「スマホに届くOTP（所有）」の組合せが一般的で安全です。
• 秘密の質問は便利だが脆弱な場合がある
  • 家族構成や出身校などの質問はSNSや公開情報から推測されやすいため、秘密の質問だけで高いセキュリティを期待するのは危険です。可能なら異なる種類の要素を使う方が安全です。

FAQ